scan

Detección de malware 0-day para binarios, código fuente y scripts (que no es una porquería)

Instalación

Si estás en un host de tipo UNIX (macOS, Linux, BSD, Solaris, illumos, Android):

Si estás en Windows:

O, si tienes Rust instalado y solo quieres compilarlo desde el código fuente:

Si se requiere un análisis de binarios más profundo, también deberías instalar 7-Zip, rizin, upx e innoextract.

En Windows, usando winget:

En sistemas tipo Unix, instala 7-Zip upstream (brew install sevenzip, apt install 7zip) en lugar de p7zip — su 7z no puede leer APFS, por lo que el contenido de los .dmg queda sin escanear.

Uso

Los códigos de salida hacen que la integración con CI sea trivial:

• 0: todas las muestras son benignas
• 1: muestra hostil detectada
• 2: muestra sospechosa detectada
• 3: error de análisis
• 4: el conjunto de reglas estaba incompleto — el escaneo se ejecutó con menos reglas de las que define el conjunto de rasgos, por lo que cualquier resultado que no sea hostil no prueba nada. Vuelve a ejecutarlo.

Cómo funciona

1. stng extrae el contenido, incluso si está ofuscado
2. cleave desempaqueta contenedores y extrae capacidades
3. El informe se convierte en un vector de características estandarizado, estandarizado entre tipos de archivo.
4. Los conjuntos de modelos LightGBM de azoth puntúan la muestra.

Redes y privacidad

atomscan nunca enviará datos de telemetría. Sin embargo, se conectará a Internet por 2 razones:

• actualizaciones de reglas: cada 24h, se puede desactivar usando --no-update o SCAN_NO_UPDATE_CHECK=1
• seguir referencias descubiertas: para detectar si un paquete benigno depende de o descarga una carga útil comprometida. Establece --follow=none para analizar solo el artefacto solicitado.

Ajustar el nivel de falsos positivos

A diferencia de otros escáneres de malware, Atomdrift te permite ajustar la sensibilidad en términos de un nivel aceptable de falsos positivos usando el flag -l:

• -l0: estricto, establece el umbral de confianza en un punto donde no se han observado falsos positivos.
• -l25: el punto de envío predeterminado: 25 falsos positivos por cada 100 millones de archivos.
• -l1000: laxo, aproximadamente 1 falso positivo por cada 100.000 archivos.

NOTA: Para formatos de archivo en los que no tenemos 100 millones de muestras, la tasa de falsos positivos observada puede ser hasta 5-6 veces el nivel solicitado. Los resultados pueden variar.

Las anulaciones directas --threshold-hostile y --threshold-suspicious están disponibles para usuarios que quieran gestionar directamente los umbrales de probabilidad, pero no se garantiza que estos números sean estables, y estos flags no se pueden combinar con -l.

LLM local opcional (interpretación)

Para una interpretación adicional, los usuarios pueden proporcionar acceso a un LLM mediante el flag --llm. Este flag tiene dos propósitos:

• Proporciona una interpretación de texto mediante un modelo de lenguaje grande de los resultados
• Guía los casos límite según la concordancia/discordancia con el modelo de ML ( p hasta 33%)

Por defecto, atomscan envía la evidencia interpretada (no el archivo original) a http://localhost:8000/v1 - para usarse con un servicio local como Ollama o vLLM; pero también se puede configurar para usar un servicio remoto como Claude, ChatGPT o DeepSeek.

Ningún modelo está codificado de forma fija: a menos que pases --llm-model, atomscan pregunta al endpoint qué modelos sirve y usa el más grande que liste. Recomendamos servir Qwen/Qwen3.8-27B.

Si el endpoint requiere un token de portador, colócalo en ~/.tok/llm (modo 0600) y atomscan lo enviará automáticamente; --llm-key y SCAN_LLM_KEY anulan ese archivo.

--llm también acepta una cadena de conmutación por error separada por comas, probada en orden — --llm 'https://llm.isotope13.ai/v1,openrouter' evalúa en tu propio endpoint y recurre al de pago solo cuando no puede responder.

--llm openrouter se comunica con https://openrouter.ai/api/v1. La clave proviene de --llm-key, SCAN_LLM_KEY o ~/.tok/openrouter (primera línea no vacía). --llm-model por defecto es openrouter/auto (el propio enrutador automático de OpenRouter) si se omite — el resto del catálogo no se selecciona automáticamente.

make deploy en Linux acepta los mismos nombres: LLM=openrouter (o LLM_URL=openrouter), y LLM_MODEL=qwen/qwen3.8-27b solo para fijar un modelo en lugar de openrouter/auto. La unidad no puede leer el home del operador (ProtectHome=true), por lo que el script de despliegue copia ~/.tok/openrouter al directorio de estado del servicio.

Cobertura

El escáner reconoce más de 100 tipos de archivo y contenedor. La cobertura representativa incluye:

El conjunto de reglas incluye comportamientos específicos de plataforma para Linux, macOS, Windows, Android, iOS, los BSDs, AIX, Solaris, QNX, z/OS, ESXi, OpenWrt, VxWorks, RouterOS, FortiOS, PAN-OS, IOS-XE, Junos, NetScaler y dispositivos Ivanti.

La matriz de compilación predeterminada cubre Linux, macOS, FreeBSD, OpenBSD, NetBSD, illumos, Solaris y Windows en varias arquitecturas de CPU. La profundidad de las pruebas varía según el objetivo; consulta el flujo de trabajo de compilación para la matriz actual.

Documentación

• Guía de integración — CLI, servidor, worker, códigos de salida y opciones de despliegue
• Esquema del informe JSON — campos de salida legibles por máquina
• API del servidor — servicio HTTP de larga duración
• Workers — escaneo distribuido con hopper
• Comportamiento de dependencias — grafo de dependencias obtenidas y procedencia

Proyectos relacionados

• cleave — extracción de capacidades y análisis estático
• azoth — pesos del modelo, umbrales y especificación de características
• hopper — cola de trabajo distribuida
• Atomdrift Lab — análisis de muestras gratuito

Licencia

Atomdrift Scan está disponible bajo la Licencia Apache 2.0.

¡Todas las contribuciones son bienvenidas!